Dotaz: Samba LDAP

[smajl]

Chci nastavit sambu tak, aby brala uživatele z ldap serveru. V linuxu mi funguje přihlášení přes ldap server, ale chci aby se dala data přečíst i pod windowsem. K samba serveru se připojím, ale ať zadám cokoliv, pokaždý to na mě vyhrkne, že nemám správný uživatelský jméno. V logách nic zajímavýho není. Nastavení samby:

[global]
workgroup = FIRM
netbios name = TEST
server string = pokusny
passdb backend = ldapsam:ldap://127.0.0.1/
ldap suffix = dc=domena,dc=cz
ldap group suffix = ou=group
ldap user suffix = ou=people
ldap machine suffix = ou=hosts
ldap admin dn = cn=admin,dc=domena,dc=cz

obey pam restrictions = no

ldap passwd sync = no
ldap delete dn = no

username map =/etc/samba/smbpasswd

add user script = /usr/sbin/smbldap-useradd -m "%u"
add machine script = /usr/sbin/smbldap-useradd -w "%u"
add group script = /usr/sbin/smbldap-groupadd -p "%g"
add user to group script = /usr/sbin/smbldap-groupmod -m "%u" "%g"
delete user from group script = /usr/sbin/smbldap-groupmod -x "%u" "%g"
set primary group script = /usr/sbin/smbldap-usermod -g "%g" "%u"

logon script = scripts\logon.bat

logon path = \\%N\Profiles\%U
logon drive = H:
logon home = \\%N\%U

security = user
idmap uid = 4000-10000
idmap gid = 4000-10000

[homes]
 path = /export/homes/%U
 browseable = no
 valid users = %S
 read only = no
 create mask = 0664
 directory mask = 0775

smbldap_bind.conf mám vyplněnej, smbldap.conf:

SID="S-1-5-21-2884938510-3913314686-102960621"

slaveLDAP="127.0.0.1"

masterLDAP="127.0.0.1"

ldapTLS="0"

mailDomain="domena.cz"

suffix="dc=domena,dc=cz"

Odpovědi

[Filip Jirsák]

Zadal jste Sambě heslo k LDAPu smbpasswd -w? Případně zkuste zvýšit úroveň logování Samby, aby se v logu něco zajímavého objevilo.

[smajl]

Zadal.

[smajl]

[2007/09/01 17:04:06, 2] smbd/reply.c:reply_special(496)
  netbios connect: name1=*SMBSERV name2=WIDLAK
[2007/09/01 17:04:06, 2] smbd/reply.c:reply_special(503)
  netbios connect: local=192.168.1.4 remote=widlak, name type = 0
[2007/09/01 17:04:06, 2] smbd/sesssetup.c:setup_new_vc_session(799)
  setup_new_vc_session: New VC == 0, if NT4.x compatible we would close all old resources.
[2007/09/01 17:04:06, 2] smbd/sesssetup.c:setup_new_vc_session(799)
  setup_new_vc_session: New VC == 0, if NT4.x compatible we would close all old resources.
[2007/09/01 17:04:06, 2] lib/smbldap.c:smbldap_open_connection(788)
  smbldap_open_connection: connection opened
[2007/09/01 17:04:06, 2] auth/auth.c:check_ntlm_password(319)
  check_ntlm_password:  Authentication for user [smajl] -> [smajl] FAILED with error NT_STATUS_NO_SUCH_USER

[Filip Jirsák]

Mají uživatelé v LDAPu údaje potřebné pro Sambu (sambaSID, sambaLMPassword, sambaNTPassword, sambaPrimaryGroupSID, objectClass=sambaSamAccount atd.)? Bez těch logů to asi nepůjde, problém může být mezi Windows a Sambou, mezi Sambou a LDAPem i mezi Sambou a Unixem, vyloučil jste zatím jen problém mezi Unixem a LDAPem.

[smajl]

Ty údaje tam nejsou. Kde seženu co všechno musím mít u uživatelů v sambě?

[Filip Jirsák]

Podle schématu je povinné jen sambaSID, ostatní údaje jsou volitelné. Ale bez hesel nebude Samba schopná ověřit heslo uživatele a přihlásí tedy asi uživatele s jakýmkoli heslem (nebo jen s prázdným heslem). S hesly bude ostatně asi největší problém, protože pokud je nemáte někde v plaintextu, budete asi muset uživatelům vygenerovat hesla nová, která si pak změní (Windows a tím pádem Samba používá jiný hash hesla, než se používají v Linuxu).

Jaké údaje jsou potřeba snad odvodíte z dokumentace l ldapsam.

[Milan Beneš]

Pohodlná cesta je nainstalovat si phpldapadmin (nejnovější) a uživatele vytvořit v něm. Jsou tam sice dvě chybičky, nicméně alespoň vytvoří všechny potřebné atributy a ty dva s chybnou hodnotou jdou opravit ručně.

[smajl]

Dá se ten SambaSID vygenerovat? A jak vytvořit hesla když je mám v plaintextu?

[Milan Beneš]

SambaSID jde získat pomocí net getlocalsid

[Filip Jirsák]

Dá se ten SambaSID vygenerovat?

Dá. Je to SID domény, ke kterému je za pomlčkou přidané unikátní číslo uživatele. Pokud nepoužívá jiné mapování, vytváří myslím Samba tohle číslo jako dvojnásobek UID uživatele + 1. Ale jinak to může být libovolné unikátní číslo, takže je potřeba dát jenom pozor na to, aby později, pokud budete přidávat uživatele přímo přes Sambu, Samba nevygenerovala stejné číslo.

A jak vytvořit hesla když je mám v plaintextu?

Já jsem používal např. skript v Pythonu, kde bylo něco jako

import smbpasswd
print smbpasswd.lmhash("heslo")

Ovšem modul smbpasswd není ve standardních pythonovských modulech, a na smbpasswd python vrací Google akorát nejrůznější balíčky, tak buď musíte najít ten pro svou distribuci, nebo z nějakého balíčku vyzkoumat, kde roste originál. Určitě také existuje knihovna pro Javu, která umí ta hesla konvertovat. Nejspíš existují i různé další utility nebo skripty, zkuste hledat třeba „ntlm password“. Nějaké Perlovské skripty jsou snad i v contrib v Sambě…

[Filip Jirsák]

Vzhledem k tomu, že uživatelé již existují, vytvořil bych si raději skriptem nějaký ldiff soubor, který bych pak do LDAPu naimportoval a tím položky přidal.

[smajl]

Ok, něco vymyslím. Snažím se to dělat postupně, můj cíl je rozchodit řadič domény. Pod jakým uživatelem můžu přidat stanice do domény? smb.conf jsem trochu upravil, takže teď vystupuje jako pdc, ale nedovolí mi to se připojit do domény. v logách ale nic špatnýho nevidím a to mám log level 8.

[Filip Jirsák]

Ok, něco vymyslím. Snažím se to dělat postupně, můj cíl je rozchodit řadič domény. Pod jakým uživatelem můžu přidat stanice do domény? smb.conf jsem trochu upravil, takže teď vystupuje jako pdc, ale nedovolí mi to se připojit do domény. v logách ale nic špatnýho nevidím a to mám log level 8.

Přidání stanice do domény byl u mne vždycky největší problém. Myslím, že to musí být uživatel, který je členem skupiny Domain Admins (nad se tak jmenuje, měla by to být jedna z well known skupin). Problém je hlavně v tom, že Samba se pokouší účet pro stanici smazat a pak založit znovu, včetně unixového. Takže buď jí to musíte komplet dovolit a naučit, nebo mít už předem účty vytvořené a Sambě dovolit je změnit. Pak ale musíte myslím účtu nastavit výchozí heslo, které je buď všude stejné, nebo odvozené ze jména počítače (snad to jde najít někde na internetu). Je potřeba tam dávat pozor na velikost písmen, ve jménu účtu pracovní stanice jsou myslím velká, ale pro tvorbu hesla se možná použijí malá… Už si to moc nepamatuju, možná bych to nešel někde ve skriptech, které jsem používal. Pokud bych našel ty skripty… Každopádně ten způsob, že si Samba sama účet počítače založí je myslím dokumentovanější a není třeba tolik vlastního výzkumu. Ale jak už jsem psal, v tom případě musí fungovat i odebrání (asi) a každopádně přidání uživatele do systému (do linuxu). Nějaké ukázkové skripty jsou snad součástí nss_ldap (předpokládám, že používáte to, když máte linuxové uživatele také v LDAPu).

[smajl]

No já už jsem to kdysi chvíli provozoval, ale bez ldap a musel jsem mít funkční ty add scripty apod. a dělá to hroznej bordel v účtech, vytváří to uživatele podle strojů. Tohle dělá i v ldapu? Já myslel, že tam stačí ručně vytvořit účty a samba to bude jen číst.

[smajl]

Konkrétně se to myslím snaží vytvořit uživatele s $ na konci. Proč tomu tak je nevím. Dá se tomu zabránit? Nerad bych totiž nechal sambu, aby mi dělala border v ldapu. Jinak smbpasswd -a nefunguje.

[timeos]

Konkrétně se to myslím snaží vytvořit uživatele s $ na konci. Proč tomu tak je nevím. Dá se tomu zabránit? Nerad bych totiž nechal sambu, aby mi dělala border v ldapu. Jinak smbpasswd -a nefunguje.

Neviem ci tomu spravne rozumiete. Bezne uzivatelske domenove ucty vytvarane sambou (resp definovanymi skriptami) _nemaju_ pridavany prefix $ za loginom. Tento "prefix" sa pridava vyhradne pre ucty pracovnych stanic pridavanych do domeny, aby sa od beznych uctov uz na prvy pohlad lisili.

A za dalsie, bordel v LDAPe vam urcite nevznikne, lebo ucty stanic sa vytvaraju spravidla v podstrome definovanym direktivou ldap machine suffix a teda budu od beznych uzivatelov logicky odclenene.

[Filip Jirsák]

V doméně Windows musí mít i každý počítač svůj účet. To jsou právě ty účty s $ na konci. Samba je také musí uložit do LDAPu, ale můžete si stanovit, že budou v jiné části stromu (to je to ldap machine suffix v konfiguráku).

[timeos]

Myslím, že to musí být uživatel, který je členem skupiny Domain Admins

Toto veru nestaci. Pridavat stanice do domeny moze defaultne len user uvedeny direktivou "admin users" v smb.conf. Kazdy dalsi uzivatel, ktorym by ste chceli pridavat stanicu do domeny musi mat delegovane pravomoci (konkretne pravomoc SeMachineAccountPrivilege (..da sa delegovat aj na skupinu (napr. Domain Admins), nielen na usera)).

Pak ale musíte myslím účtu nastavit výchozí heslo, které je buď všude stejné, nebo odvozené ze jména počítače (snad to jde najít někde na internetu).

Pokial viem, tak nastavovanie hesiel pre PC ucty sa stara samba sama. Po pripojeni stanice do domeny samba vytvori pre dane PC klasicky uzivatelsky posix ucet skriptom smbldap-useradd -w, a po jeho vytvoreni sama pozadava ostatne atributy ako su sambaSID, atributy na hesla (na hesle sa so stanicou interne dohodne, bez akejkolvek interakcie uzivatela) a pod.

[smajl]

A co mám v tom konfiguráku špatně, když ten skript existuje ale nedělá to co dělat má?

[timeos]

Ja som odpovedal na prispevok pana Jirsaka, ktory pisal o pridavani stanic do domeny. Vy sa ale snazite o pristup na samba server pod uctom, ktory samba nepozna... lebo (ako vyplynulo z debaty) nema pridane atributy (ako uz spominany sambaSamAccount objectclass a kopec dalsich) a teda taky uzivatel pre nu vskutku neexistuje. Ziadne bezne (posix) uzivatelske ucty samba do domeny _nepridava_ automaticky. O toto sa musi postarat administrator (a tiez by to mohlo byt neziaduce).

Takze rada zavisi podla toho, kolko mate existujucich uzivatelov v LDAPe. Ak ich je len zopar, tak prikazmi "smbldap-usermod -a loginname" popridavate kazdemu z LDAP userov samba atributy a prikazom "smbldap-passwd loginname" povytvarate hesla. A az po tychto ukonoch mozte uspesne pristupovat k zdielanym prostriedkom samby.

A este dodatok: tie skripty napr na pridanie usera alebo skupiny sa pouzivaju iba vtedy, ak ich "explicitne" zavolate, napriklad vytvaranim uzivatela/skupiny cez usrmgr.exe.

[svaca]

Kdyz jsi nastavil ten LDAP + tu sambu, tak se do LDAPu dostanes ?? Pres LAM, phpldapadmin treba ??? Jesli ano, tak dale by problem mohl byt v tom, ZDA mas VUBEC adresarovou strukturu v LDAPu od samby, mas spravne nastaveno smbldap-tools ??? Co udela:

smbldap-populate ???

[smajl]

smbldap-populate raději nebudu spouštět, jinak mám u účtu atrubut sambasamaccount a samba password, prostě jsem to naklikal přes phpldapadmin. Napadá mě, jestli nemůže být problém v tom, že ty atributy pro sambu mám jen u uživatele a ne u celého ou.???

[svaca]

Sorry, ale smbldap-populate je ZAKLAD !

Pokud konfigurujes zrovna takovou vec jako je LDAP, mas pouzivat nastroje k tomu urcene, v phpldapadmin se da nasekat spousty chyb ... Jako napriklad nesynchronizace unix a samba hesla ..

pokud by smaba populate proslo, + pridani uzivatele pres smbldap-adduser pak by ses prihlasil do domeny. A nepatlal se na tomto miste.

[Filip Jirsák]

Sorry, ale smbldap-populate je ZAKLAD !

To doplní jenom SID domény a well known účty a skupiny. A jediné opravdu potřebné z toho je SID domény. Možná je to základ, ale potřeba to není

[svaca]

JA vim, ale kdyz je to zacatecnik, tak by se pak takto neplacal .....

[smajl]

Jo to souhlasim, v sambě jsem začátečník, ale jinak ne. Nemám totiž rád windows a ty jejich pitomý domény, ale jsem nucen do dokonfigurovat.

[Filip Jirsák]

Vytvořit ty úvodní optřebné položky není nic těžkého, je to import jednoho ldiff souboru vytvořeného podle vzoru v Samab Howto. Naopak bych se bál pouštět nějaké automatické skripty na LDAP s ostrými a používanými daty.

[svaca]

To ja vsechno chapu, ale kdyz jsem se to ucil ja, tak jsem se nekolik tydnu trapil jak idiot, jen proto, ze jsem nepouzil smbldap (ktery je k tomu urceny + je doporucovany i v samotne dokumentaci samby) a jak rikam, muj problem spocival nejdrive ve spatnem nastaveni PAMu (coz je asi nejtezsi cast) a pak hlavne v tom, ze jsem (jako zacatecnik) neumel nastavit/vycist v phpldapadminu aby pri zadani uzivatele do domeny se synchronizovalo unix a samba heslo, coz je v smbldap tools jasne vysvetleno....

Proto rikam, ze je to zaklad ...Nemluve o tom, ze ti SPRAVNE vytvori Windows domain strukturu, proc to tedy placat rucne....

A to vubec nemluvim o tom, ze LAM (LDAP admin manager) je o mnoho lepsi a bezpecnejsi (pro zacinajiciho uzivatele) nastroj pro konfiguraci domeny, nez phpldapadmin ...

[Filip Jirsák]

Ale já nemluvím ani o smbldap, ani o phpldapadmin. Já preferuji vim, ldapsearch, ldapimport a nějaké ty skripty

Třeba ta synchronizace hesel se nastavuje v konfiguráku samby, na to netřeba žádné utility. A ta Windows domaini struktura je jeden LDIF import, který okopírujete ze Samab Howto, akorát v něm nahradíte domain SID a doménu, což je vyhledej-nahraď.

[svaca]

Ja mluvim o tom, ze kdyz to delam pro zakaznika, tak s: vim, ldapsearch, ldapimport me posle nekam ....